SchnabelObstNeu Profile picture
Apr 2 52 tweets 9 min read Read on X
🧵
BITTE RETWEETEN! JEDER!

Kurfassung gibt's beim Petitionslink...



Unser aller Wohlstand, Gesundheit und unsere Sicherheit sind in akuter Gefahr.

Kein Spaß.

Keine Übertreibung.

Bitte nehmt Euch

1/49
#cybersecurity #unserallerüberleben chng.it/7xdt9fvphk
Image
2/49
die Zeit:

Vor wenigen Tagen ist etwas passiert, das zwar von der Fachpresse behandelt wurde, aber auch dort nicht mit dem nötigen Aufschrei verbunden war. Von der Jedermann-Presse ganz zu schweigen, dabei geht es hier mittelfristig wirklich
3/49
"um die Wurst".

--> Was ist passiert?

Ein Microsoft Mitarbeiter (ja, auch da gibt's kompetente Leute...) musste für einen Test darauf achten, dass möglichst wenig Grundrauschen (also Grund-Last,
4/49
Grund-Anstrengung, Grund-Aktivität) auf einem seiner Systeme war.

Dabei fiel ihm auf, dass eine ssh (secure shell) überraschend aktiv war.

Er untersuchte die Anwendung und stellte fest, dass sie korrumpiert
5/49
("infiziert") war.

--> Und das heißt was genau?

Die betroffene ssh Anwendung...



...verwendete einen kleinen Baustein, die sogenanntende.wikipedia.org/wiki/Secure_Sh…
6/49
"XZ-Utils"...



...eine Sammlung an Programmen und Code Bibliotheken, der auf einer Vielzahl Unix-oider Betriebssysteme wie Linux, BSD, Solaris genutzt wird.

Undde.wikipedia.org/wiki/XZ_Utils
7/49
damit übrigens auch auf Android (Baut auf Linux auf) und auf Apple (iOs etc. bauen alle auf BSD auf).

Zwar wäre es in diesem Fall eher unwahrscheinlich, dass der Code es in naher Zukunft - und vor Entdeckung - auf Dein Handy geschafft
8/49
hätte, aber es handelt sich um die gleiche "Familie" und sollte auch für den "Ist mir doch egal" Anwender eine Überlegung wert sein.

--> Aber ich hab doch nen Virenscanner?!

Der leider komplett
9/49
versagt. Also mal technisch und von Anfang an, bevor wir uns um die Folgen kümmern:

Die XZ Utils sind dazu da, möglichst ressourcenschonend Daten zu komprimieren. Ganz wichtig im "Internet", weil komprimierte Daten kleinere
10/49
Datenmengen ergeben und die Bandbreite praktisch immer der bremsende Flaschenhals ist.

In dem hier entdeckten Fall wurde der Schadanteil der Kompromittierung gezielt auf gewisse Linux-Installationen im Serverbereich ausgerichtet, bei denen die XZ
11/49
Utils dazu da sind, für mehr Sicherheit zu sorgen. Ja, die Ironie...

Das ssh Protokoll ist "state of the art" zur Kommunikation mit Servern, entweder von einem Terminal/Client mit einem unbehaarten Mate betriebenen
12/49
evolutionierten Affen an einem Brett mit vielen Tasten, aber auch zur (automatisierten) Kommunikation und Datenübertragung zwischen beliebigen Geräten.

SSH ist so eine Art "Schweizer Taschenmesser" des Andockens. Wenn Du mal
13/49
wieder den typischen *hust* Hoodie-Tragenden-Hacker in Deiner Lieblingsserie siehst und er hat kryptischen Text vor sich, dann hat er mit ziemlicher Sicherheit einen Großteil davon durch ssh transportiert.

Das Problem hierbei ist:
14/49
Es geht nicht um DEIN Gerät und DEINEN Virenscanner. Es geht um wichtige Geräte. So richtig wichtige Geräte. Server.

--> Kannst Du mal zur Sache kommen? Das geht ja endlos!

Tut mir leid. Ja. Mach ich.

Die
15/49
Kompromittierung des XZ Utils Pakets hatte zur Folge, dass trotz einer enormen Anzahl an Sicherheitschecks und Bemühungen betroffener Schadcode ausgeliefert wurde.

Noch (!) nicht an das gros der "Wichtigen" Server, da der Code
16/49
dafür noch zu neu war. Er wurde "nur" an Geräte ausgeliefert, die nicht im "Stable" Pfad der Software unterwegs waren.

Zur Erklärung: Auf Servern benutzt man gerne "erwachsene" Software, weil man dort
17/49
nicht unbedingt die letzten und schönsten "Gadgets" und "Farben" haben will, sondern vor allem Software, die auf Herz und Nieren geprüft wurde und die stabil läuft. Man will ja nicht jede Nacht um 0200 von
18/49
Instabilitäten geweckt werden.

In letzter Zeit sind aber immer mehr Distributionen (also "Arten") von Linux dazu übergegangen, sogenannte "Rolling Release" Varianten anzubieten, bei denen Software recht zeitnah auf
19/49
den neuesten Stand gebracht wird. Das ist "in" und wird - leider - auch von mehr und mehr Leuten auf Servern so eingesetzt.

--> Prima, aber das geht mich doch gar nichts an?!

Doch, tut es. Und jetzt kommt der Punkt,
20/49
warum das so ist:

Unsere gesamte (!) Infrastruktur ist von kleinen Paketen wie diesen XZ Utils abhängig.

Du erinnerst Dich vielleicht noch, wie Ende 2021 die Log4Shell Sicherheitslücke publik wurde, die buchstäblich
21/49
Millionen (oder Milliarden?) Geräte betraf.

Bei XZ Utils wären es noch mehr gewesen. Mit noch schlimmeren Folgen.

--> Und das ist ein SYSTEMPROBLEM.

Die Software, mit der Du das hier liest, ist zu Image
22/49
einem großen Teil auf "Open Source" Software aufgebaut.

Das ist Software, deren Quellcode veröffentlicht wird, so dass jeder (der kundig genug ist), ihn sich anschauen und davon lernen kann.

Und ihn benutzen kann (in
23/49
Abhängigkeit von der jeweiligen Lizenz und den Bedingungen, die damit einher gehen).

Und prüfen kann, ob der Quellcode sicher ist.

Letzteres macht Open Source Software prinzipiell sehr sicher, denn Schweinereien fallen in der
24/49
Regel schnell auf und die Entwicklerteams achten aufeinander. Man will ja nicht in einem Team sein, in dem ein böser Bube einfach das Projekt zur Bereicherung, Spionage oder Disruption genutzt hat.

--> Und hier kommen wir zum
25/49
Problem:

Diese Entwickler-Teams existieren nicht (mehr).

Ernsthaft.

Nachdem die großen Firmen sich nun ca. 50 Jahre lang bei jeder Gelegenheit einfach "Open Source" Code unter den Nagel gerissen haben, ohne dass
26/49
die Leute die sich dafür teilweise jahrelang kostenlos und in tausenden Mannstunden pro Person gekümemrt haben, auch nur einen cent gesehen haben, versiegt der Strom der Volltrottel, die ihre Programmierfähigkeiten für Lau verpuffen
27/49
lassen und denen, die sich ihres Codes bedienen das Leben vergolden.

Es existiert ein echtes Nachwuchsproblem.

Viele Pakete, Programme, Bibliotheken werden von EINZELNEN PERSONEN betreut.

Oft genug Leute, die das schon seit
28/49
Jahren und teilweise seit Jahrzehnten machen.

Und nie Geld dafür gesehen haben.

Und nie wirklich Urlaub haben.

Die sich abrackern.

Für nichts.

Das ist keine Übertreibung, wenngleich es sicher
29/49
auch Ausnahmen von der "Regel" gibt. Gerade die jungen, hübschen, bunten Projekte haben natürlich Zustrom durch aufstrebende "Entwickler" und Hilfswillige.

Aber gerade die ganz essentiellen, teilweise maschinennahen
30/49
und für "Junge" oft sterbenslangweiligen Projekte mit hohem Abstraktionsgrad (XZ Utils: Datenkompressionsalgorithmenbibliothek, vorwiegend auf Basis der LZMA Algorithmen von Igor Pavlov (ja, der heißt wirklich so...) sind nicht
31/49
unbedingt das, was sich der immer noch leicht verpickelte Informatikjungstudent so unter "Tolle Sache" vorstellt.

--> Ja und? Dann gibt's halt keinen Nachwuchs!

Ja, eben. Issmirdochegal.

Wenn wir so weiter
32/49
machen wie bisher, dann wird's schon bald richtig hässlich. Warum?

Weil in diesem (XZ Utils) Fall offensichtlich ein "Big Player" beteiligt war. Ob das nun eine mafiöse Struktur oder ein Geheimdienst war, man weiß es
33/49
nicht.

Was man weiß ist, dass sich ein junger und _sehr_ fähiger Entwickler an den XZ Utils Betreuer gewandt und diesen davon überzeugt hat, dass er kompetent und "echt" genug sei, um "mitzumachen". Danach hat
34/49
er gleich mehrere Sicherheitsstufen ausgehebelt und mehrere Komplizen verwendet um den Schlamassel bis in die Veröffentlichung zu bringen.

Mit einer enormen Menge an tiefem Wissen in der Programmierung, den Protokollen, der
35/49
"Pipeline" in der der Code bis zum Endgerät kommt und auch sehr fähigem "social engineering", indem er monströs erfahrene Code Betreuer dazu gebracht hat, seinen Kram durchzuwinken.

--> Kein Geld, keine
36/49
Fachkräfte, keine Sicherheit.

Wenn wir so weiter machen wie bisher, wird nicht nur der Innovationsgrad außerhalb Chinas immer weiter sinken, wir werden auch immer weniger häufig Sicherheitslücken finden, die immer
37/49
häufiger von solchen Leuten gezielt eingebracht werden.

Im Falle von XZ Utils wäre der potentielle Grad an Störung und Vernichtung ausreichend gewesen, um bei uns über WOCHEN das Licht ausgehen zu lassen.

Wir
38/49
hätten JAHRE gebraucht um uns davon zu erholen und die Probleme wären bis in den Behörden- und Militärbereich gegangen.

GAME OVER.

Das ist keine Übertreibung. Stellt Euch einfach vor, jemand hätte Zugriff
39/49
auf rund 80% der verwendeten Internetstruktur, inkl. einem Teil der Router, der wichtigsten Server und und und.

Da wir so dumm sind, alles ans Internet zu hängen, auch an Eure Haushaltsgeräte. Die intelligente Zahnbürste,
40/49
das intelligente Spielzeug (für Erwachsene), der Herd (!)... ein nennenswerter Teil dieser Geräte ist für Schwachstellen dieser Art anfällig.

Stellt Euch mal vor, einer schaltet 50% der Server ab. 25% der Router.
41/49
Und stellt 10% der Autos morgens im Berufsverkehr auf "Vollgas ohne Bremse".

Das ist letztlich ein denkbares Szenario bei sowas. Und wer das für Übertreibung hält, dem kann ich nicht helfen. Tut mir
42/49
leid.

--> Also sind wir verloren?

Njein.

Solange unsere Politiker sich nicht um Open Source kümmern, sondern es nur als Wahlkampfmittel "Wir haben mit unserem Projekt schon 1 Million Euro in Open Source
43/49
gesteckt, in den letzten 23 Jahren!" benutzen: Ja.

Wenn wir uns bemühen, diese Schieflage in den Griff zu bekommen: Vermutlich nein.

--> Und was tun?

Wir müssen Sorge tragen, dass die Mitarbeit an Open
44/49
Source Projekten nicht mehr der altruistische Traum einiger Weniger bleibt, sondern sich monetär lohnt.

Wir müssen Open Source Projekte FINANZIEREN und damit sicher stellen, dass KOMPETENTE und nachprüfbar gutartige(sic!)
45/49
Entwickler sicher stellen, dass die verwendete Software auch wirklich sicher und ohne Schadsoftware bereit gestellt wird.

Wir dürfen uns nicht von proprietären Giganten verarschen lassen, die "Freie Software" als
46/49
"Schädlich" bezeichnen, während ihre eigenen Produkte zu einem nennenswerten Teil aus genau dieser Software zusammengebaut wurden.

--> Ja und jetzt?

Ich habe eine Petition bei gestartet, deren Textchange.org
47/49
ihr schon oben sehen konntet.

Bei in dem Bewusstsein, dass diese nicht zwingend den Bundestag aktiv werden lässt, aber aus der Not heraus, dass die Bundestagspetitionen keine anonyme Erstellung ermöglichen.

SolltenChange.org
48/49
also mehr als 5 Leute bei mitmachen, kann ja vielleicht jemand mit seinem Klarnamen beim Bundestag mitmachen...?!

So oder so, nehmt bitte an der Petition teil. Denn:

a) So kann es nicht weiter gehen.

b) Wenn ich dasChange.org
49/49
hier wieder mal umsonst getippt hab, geht's mir langsam wie den Entwicklern in der Open Source Gemeinde. Was nicht heissen soll, dass ich die nicht kenne. Oder einer bin. Oder einer war. Oder einer sein werde. Es ist kompliziert...
Der Kurzlink, den Twitter/X erzeugt, scheint korrupt zu sein.

q.e.d., irgendwie...

change.org/p/aufruf-zur-s…
50/49 (sic!)

Nochmal der Link in Langform, die Kurzfassung im ersten Tweet wurde wohl kleingehackt...

change.org/p/aufruf-zur-s…
@threadreaderapp unroll

• • •

Missing some Tweet in this thread? You can try to force a refresh
 

Keep Current with SchnabelObstNeu

SchnabelObstNeu Profile picture

Stay in touch and get notified when new unrolls are available from this author!

Read all threads

This Thread may be Removed Anytime!

PDF

Twitter may remove this content at anytime! Save it as PDF for later use!

Try unrolling a thread yourself!

how to unroll video
  1. Follow @ThreadReaderApp to mention us!

  2. From a Twitter thread mention us with a keyword "unroll"
@threadreaderapp unroll

Practice here first or read more on our help page!

Did Thread Reader help you today?

Support us! We are indie developers!


This site is made by just two indie developers on a laptop doing marketing, support and development! Read more about the story.

Become a Premium Member ($3/month or $30/year) and get exclusive features!

Become Premium

Don't want to be a Premium member but still want to support us?

Make a small donation by buying us coffee ($5) or help with server cost ($10)

Donate via Paypal

Or Donate anonymously using crypto!

Ethereum

0xfe58350B80634f60Fa6Dc149a72b4DFbc17D341E copy

Bitcoin

3ATGMxNzCUFzxpMCHL5sWSt4DVtS8UqXpi copy

Thank you for your support!

Follow Us!

:(